7z apache解析漏洞_upload-labs 文件上传靶机闯关记录

靶机搭建

推荐使用Windows系统搭建，我最先使用docker pull c0ny1/upload-labs的镜像在Pass-03遇到问题，初步判断是该镜像内的php.conf文件配置错误导致。

Windows系统下解压，第一次运行或者每次改变靶机环境的目录时，都要运行一下modify_path.bat文件之后，再运行phpStudy.exe启动环境。

靶机包含漏洞类型分类

判断上传漏洞类型的方法

闯关记录

Pass-01

提示与查看源码

本pass在客户端使用js对不合法图片进行检查！

function checkFile() {

var file = document.getElementsByName('upload_file')[0].value;

if (file == null || file == "") {

alert("请选择要上传的文件!");

return false;

}

//定义允许上传的文件类型

var allow_ext = ".jpg|.png|.gif";

//提取上传文件的类型

var ext_name = file.substring(file.lastIndexOf("."));

//判断上传文件类型是否允许上传

if (allow_ext.indexOf(ext_name + "|") == -1) {

var errMsg = "该文件不允许上传，请上传" + allow_ext + "类型的文件,当前文件类型为：" + ext_name;

alert(errMsg);

return false;

}

}

解题思路

前端校验上传文件的后缀名是否为.jpg|.png|.gif，使用Burp Suite抓包拦截数据包并修改上传文件的后缀名即可绕过前端的后缀名限制。

解题步骤

准备上传文件，文件内容为

将文件命名为info.jpg

浏览器设置代理使得Burp Suite可以抓包，Burp Suite中的Proxy--intercept--intercept is on,抓取数据包为：

修改数据包为info.jpg为info.php后放行；

访问上传文件的url后显示：

Pass-02

提示与查看源码

本pass在服务端对数据包的MIME进行检查！

$is_upload = false;

$msg = null;

if (isset($_POST['submit'])) {

if (file_exists(UPLOAD_PATH)) {

if (($_FILES['upload_file']['type'] == 'image/jpeg') || ($_FILES['upload_file']['type'] == 'image/png') || ($_FILES['upload_file']['type'] == 'image/gif')) {

$temp_file = $_FILES['upload_file']['tmp_name'];

$img_path = UPLOAD_PATH . '/' . $_FILES['upload_file']['name']

if (move_uploaded_file($temp_file, $img_path)) {

$is_upload = true;

} else {

$msg = '上传出错！';

}

} else {

$msg = '文件类型不正确，请重新上传！';

}

} else {

$msg = UPLOAD_PATH.'文件夹不存在,请手工创建！';

}

}

解题思路

对文件MIME类型进行了验证判断，即请求数据中的Content-Type为image/jpeg|image/png|image/gif，在拦截请求包时修改该内容即可绕过上传限制。由于上传后文件后缀仍为php，服务器仍将该上传文件以php解析。

解题步骤

上传文件名为info2.php

Burp Suite抓包修改包内容为：

访问上传文件的url后显示：

Pass-03

提示与查看源码

本pass禁止上传.asp|.aspx|.php|.jsp后缀文件！

$is_upload = false;

$msg = null;

if (isset($_POST['submit'])) {

if (file_exists(UPLOAD_PATH)) {

$deny_ext = array('.asp','.aspx','.php','.jsp');

$file_name = trim($_FILES['upload_file']['name']);

$file_name = deldot($file_name);//删除文件名末尾的点

$file_ext = strrchr($file_name, '.');

$file_ext = strtolower($file_ext); //转换为小写

$file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA

$file_ext = trim($file_ext); //收尾去空

if(!in_array($file_ext, $deny_ext)) {

$temp_file = $_FILES['upload_file']['tmp_name'];

$img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;

if (move_uploaded_file($temp_file,$img_path)) {

$is_upload = true;

} else {

$msg = '上传出错！';

}

} else {

$msg = '不允许上传.asp,.aspx,.php,.jsp后缀文件！';

}

} else {

$msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';

}

}

解题思路

黑名单判断，服务器端禁止上传'.asp','.aspx','.php','.jsp'后缀的脚本文件，可以上传例如php3, phtml后缀的文件绕过，前提是配置文件(C:UsersxxxxxDesktopupload-labs-envApacheconfhttpd.conf)中有如下配置：

AddType application/x-httpd-php .php .php3 .phtml

服务器会将php3, phtml后缀的文件当成php解析。

解题步骤

修改上传文件的文件名为info3.php3

上传后访问可见phpinfo()

Pass-04

提示与查看源码

本pass禁止上传.php|.php5|.php4|.php3|.php2|php1|.html|.htm|.phtml|.pHp|.pHp5|.pHp4|.pHp3|.pHp2|pHp1|.Html|.Htm|.pHtml|.jsp|.jspa|.jspx|.jsw|.jsv|.jspf|.jtml|.jSp|.jSpx|.jSpa|.jSw|.jSv|.jSpf|.jHtml|.asp|.aspx|.asa|.asax|.ascx|.ashx|.asmx|.cer|.aSp|.aSpx|.aSa|.aSax|.aScx|.aShx|.aSmx|.cEr|.sWf|.swf后缀文件！

$is_upload = false;

$msg = null;

if (isset($_POST['submit'])) {

if (file_exists(UPLOAD_PATH)) {

$deny_ext = array(".php",".php5",".php4",".php3",".php2","php1",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2","pHp1",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",".jSv",".jSpf",".jHtml",".asp",".aspx",".asa",".asax",".ascx",".ashx",".asmx",".cer",".aSp",".aSpx",".aSa",".aSax",".aScx",".aShx",".aSmx",".cEr",".sWf",".swf");

$file_name = trim($_FILES['upload_file']['name']);

$file_name = deldot($file_name);//删除文件名末尾的点

$file_ext = strrchr($file_name, '.');

$file_ext = strtolower($file_ext); //转换为小写

$file_ext = str_ireplace('::$DATA', '', $file_ext);//去除字符串::$DATA

$file_ext = trim($file_ext); //收尾去空

if (!in_array($file_ext, $deny_ext)) {

$temp_file = $_FILES['upload_file']['tmp_name'];

$img_path = UPLOAD_PATH.'/'.date("YmdHis").rand(1000,9999).$file_ext;

if (move_uploaded_file($temp_file, $img_path)) {

$is_upload = true;

} else {

$msg = '上传出错！';

}

} else {

$msg = '此文件不允许上传!';

}

} else {

$msg = UPLOAD_PATH . '文件夹不存在,请手工创建！';

}

}

解题思路

依然是黑名单判断，不过这次的限制更多，但是没有包括.htaccess，可以利用配合Apache的.htaccess文件上传解析漏洞。

.htaccess

.htaccess文件是Apache服务器中的一个配置文件，它负责相关目录下的网页配置。通过.htaccess文件，可以实现：网页301重定向、自定义404错误页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能IIS平台上不存在该文件，该文件默认开启，启用和关闭在httpd.conf文件中配置。

靶机中httpd.conf相关配置：

# AllowOverride controls what directives may be placed in .htaccess files.

# It can be "All", "None", or any combination of the keywords:

# Options FileInfo AuthConfig Limit

#

AllowOverride All

造成了我们可以上传.htaccess文件解析漏洞，来绕过验证进行上传WEBShell。

解题步骤

准备1.htaccess:

AddType application/x-httpd-php .jpg

使得服务器将所有.jpg后缀的文件当做php文件解析

上传.htaccess:

Burp Suite抓包修改包内容为：

修改文件名为.htaccess并放行数据包

上传文件info4.jpg:

查看文件：

Pass-05

提示与查看源码

本pass禁止上传.php|.php5|.php4|.php3|.php2|php1|.html|.htm|.phtml|.pHp|.pHp5|.pHp4|.pHp3|.pHp2|pHp1|.Html|.Htm|.pHtml|.jsp|.jspa|.jspx|.jsw|.jsv|.jspf|.jtml|.jSp|.jSpx|.jSpa|.jSw|.jSv|.jSpf|.jHtml|.asp|.aspx|.asa|.asax|.ascx|.ashx|.asmx|.cer|.aSp|.aSpx|.aSa|.aSax|.aScx|.aShx|.aSmx|.cEr|.sWf|.swf|.htaccess后缀文件！

$is_upload = false;

$msg = null;

if (isset($_POST['submit'])) {

if (file_exists(UPLOAD_PATH)) {

$deny_ext = array(".php",".php5",".php4",".php3",".php2",".html",".htm",".phtml",".pht",".pHp",".pHp5",".pHp4",".pHp3",".pHp2",".Html",".Htm",".pHtml",".jsp",".jspa",".jspx",".jsw",".jsv",".jspf",".jtml",".jSp",".jSpx",".jSpa",".jSw",